Những chiến dịch ClickFix giả mạo trên macOS đang được dùng để lừa người dùng tự chạy lệnh trong Terminal và cài malware đánh cắp dữ liệu iCloud, mật khẩu đã lưu và ví crypto.
Điểm đáng lo là các trang hướng dẫn giả mạo xuất hiện trên những nền tảng quen thuộc, nhắm vào người đang tìm cách sửa lỗi hoặc tối ưu máy Mac. Cách tấn công này còn né được lớp kiểm tra thông thường của macOS vì chính nạn nhân là người chạy lệnh.
- Trang giả mạo hướng người dùng copy lệnh Terminal để tải và chạy malware.
- Malware nhắm vào iCloud, Telegram, mật khẩu trình duyệt và dữ liệu ví crypto.
- Các chiến dịch còn mở rộng sang lập trình viên crypto và chuỗi cung ứng phần mềm.
Trang hướng dẫn giả mạo đang biến Terminal thành cửa ngõ cài mã độc
Các chiến dịch này đặt nội dung lừa đảo lên những trang trông giống bài hướng dẫn sửa lỗi macOS, rồi yêu cầu người dùng dán một lệnh vào Terminal. Lệnh đó tải xuống và thực thi malware ngay trên máy nạn nhân.
Phương thức này được gọi là ClickFix. Thay vì khai thác lỗ hổng kỹ thuật, kẻ tấn công dùng thủ thuật xã hội để khiến người dùng tự thực hiện bước cài mã độc.
Vì payload được chạy trực tiếp trong Terminal, macOS Gatekeeper không kiểm tra theo cách thông thường như khi mở ứng dụng qua Finder. Điều đó làm việc phát hiện trở nên khó hơn với các công cụ bảo mật phổ thông.
Malware nhắm vào iCloud, mật khẩu và ví crypto
Những mẫu mã độc được ghi nhận gồm AMOS, Macsync và SHub Stealer. Chúng thu thập dữ liệu nhạy cảm, duy trì quyền truy cập và gửi thông tin bị đánh cắp về máy chủ của kẻ tấn công.
Mục tiêu bị nhắm tới gồm dữ liệu tài khoản iCloud và Telegram, tài liệu và ảnh riêng tư dưới 2 MB, cùng thông tin đăng nhập đã lưu trên Chrome và Firefox. Malware cũng tìm khóa ví từ Exodus, Ledger và Trezor.
Trong một số trường hợp, kẻ tấn công còn xóa ứng dụng ví hợp pháp rồi thay bằng bản trojan hóa để theo dõi giao dịch và đánh cắp tiền. Trezor Suite, Ledger Wallet và Exodus nằm trong nhóm ứng dụng bị nhắm tới.
Ở một số biến thể, malware còn hiển thị hộp thoại giả và yêu cầu nhập mật khẩu hệ thống để cài “helper tool”. Nếu người dùng làm theo, kẻ tấn công có thể có quyền truy cập sâu hơn vào tệp và thiết lập hệ thống.
Có dấu hiệu né phát hiện và chặn theo khu vực
Một biến thể loader được ghi nhận có cơ chế dừng hoạt động nếu phát hiện bàn phím bố cục tiếng Nga. Đây là một dạng kiểm tra môi trường nhằm tránh bị phân tích hoặc giới hạn vùng nạn nhân.
Các tác nhân tấn công cũng dùng curl, osascript và những tiện ích sẵn có của macOS để chạy payload trực tiếp trong bộ nhớ. Cách làm fileless này khiến việc phát hiện bằng antivirus truyền thống khó hơn.
Chiến dịch không chỉ nhắm vào người dùng phổ thông
Ngoài các trang hướng dẫn giả, một số chiến dịch khác còn nhắm vào máy Mac trong môi trường fintech và crypto. ANY.RUN ghi nhận một chiến dịch của Lazarus Group có tên “Mach-O Man” dùng ClickFix qua thư mời họp giả để tiếp cận các hệ thống loại này.
Cryptopolitan cũng đề cập đến chiến dịch PromptMink, trong đó một gói npm độc hại được đưa vào dự án giao dịch crypto thông qua thay đổi do AI tạo ra. Mục tiêu cuối cùng vẫn là truy cập dữ liệu ví và các bí mật hệ thống.
Điểm chung giữa các chiến dịch là dữ liệu ví crypto tiếp tục là mục tiêu có giá trị cao. Kẻ tấn công đang thay đổi cách phân phối mã độc, từ bài blog giả đến chuỗi cung ứng phần mềm, để mở rộng phạm vi tiếp cận.
Người dùng macOS nên chú ý điều gì
Rủi ro lớn nhất nằm ở việc người dùng tự chạy lệnh mà không kiểm tra nguồn gốc. Nếu một trang hướng dẫn yêu cầu dán lệnh vào Terminal để sửa lỗi đơn giản, đó là dấu hiệu cần thận trọng.
Với người dùng crypto, việc mất quyền truy cập vào mật khẩu đã lưu, khóa ví hoặc dữ liệu thiết bị có thể kéo theo thiệt hại trực tiếp. Vì vậy, các bước xác minh nguồn, kiểm tra nội dung lệnh và tránh làm theo hướng dẫn không rõ ràng là điểm cần ưu tiên.
Tổng kết
Các chiến dịch ClickFix trên macOS cho thấy malware đang tận dụng thói quen tự xử lý lỗi của người dùng để vượt qua lớp bảo vệ hệ thống, đồng thời nhắm mạnh vào dữ liệu ví và tài khoản liên quan đến crypto.
